Le 15 octobre 2026, le Conseil de stabilité financière (FSB) a publié la version finale de 12 pratiques pour une adoption responsable de l’IA par les banques, les assureurs et les autres institutions financières. Pour toute banque qui structure sa gouvernance de l’IA, ce texte devient une référence internationale.
Que contiennent ces 12 pratiques ?
Le FSB présente un outil modulable selon la taille et le profil de risque de chaque établissement, à intégrer dans les cadres existants de gestion des risques cyber et des tiers, plutôt qu’un nouveau règlement. Quatre pratiques portent sur l’organisation : cohérence avec la stratégie et l’appétit au risque, supervision du conseil, rôles clairs, documentation des usages. Huit suivent le cycle de vie de chaque cas d’usage :
- évaluer la matérialité et le risque dès le lancement, puis régulièrement ;
- gouverner les données et évaluer la performance des modèles ;
- traiter l’explicabilité, avec des contrôles compensatoires quand un modèle reste opaque ;
- maintenir une supervision humaine effective ;
- maîtriser les risques cyber et la dépendance aux fournisseurs d’IA tiers.
Les superviseurs passent aux questions concrètes
Selon Reuters, la BCE a demandé aux banques de la zone euro de présenter, d’ici fin octobre, des plans face aux cybermenaces dopées par l’IA, et de cartographier leurs usages, fournisseurs compris, afin de pouvoir arrêter et redémarrer les systèmes de manière contrôlée. Aux États-Unis, la Réserve fédérale, l’OCC et la FDIC cherchent à savoir comment les banques limiteraient ou désactiveraient des agents d’IA autonomes, et comment leurs décisions seraient auditées. Au Royaume-Uni, les superviseurs encouragent les grandes banques à renforcer leurs plans de reprise.
Le FMI, dans son rapport de stabilité financière publié le 13 octobre, range lui aussi les cyberattaques et l’IA parmi les risques à surveiller, tout en soulignant que l’IA peut accélérer l’attaque comme la défense.
Qu’est-ce que cela change pour les banques marocaines et africaines ?
Ces textes ne s’imposent pas directement au Maroc. Mais les groupes bancaires marocains et africains travaillent avec des fournisseurs, des maisons mères et des partenaires soumis à ces exigences. Les questions posées en Europe et aux États-Unis, à savoir qui répond d’un modèle, comment l’arrêter, comment l’expliquer, serviront vite de grille de lecture aux comités de risque et aux auditeurs, y compris ici.
Le regard WePartner : gouverner l’IA sans freiner les cas d’usage
Les 12 pratiques rappellent un principe que nous défendons dans WeAI : la gouvernance se construit avec les premiers cas d’usage, pas après eux. Concrètement, une banque gagne à tenir un inventaire de ses usages, à classer chaque cas selon son niveau de risque, à définir qui valide et qui peut interrompre un système, et à former les équipes métiers, risques et conformité à un langage commun. C’est l’objet de l’acculturation et de la formation, qui conditionnent l’adoption réelle, bien plus que le choix d’un outil.
Notre expérience de plus de 200 projets, dont les programmes digitaux de quatre banques marocaines, nous montre que les dispositifs qui tiennent associent dès le départ les métiers, le risque et le SI.
Prochaine étape concrète
Prenez vos cinq cas d’usage d’IA les plus avancés, y compris ceux portés par des fournisseurs, et confrontez-les aux 12 pratiques : propriétaire identifié, niveau de risque, supervision humaine, plan d’arrêt. Les écarts constituent votre feuille de route de gouvernance. Découvrez l’offre WeAI pour structurer acculturation, cas d’usage et déploiement.